L’authentification multifacteur est une authentification à plusieurs facteurs. Point. Rien d’autre. On confond trop souvent authentification forte et authentification multi-facteurs. L’ANSSI pense comme moi, donc tout va bien.

Examples de dispositifs MFA

Token physiques

Token logiques

• Google Authenticator

Quelques failles

• Une jolie faille dans ADFS (Active Directory Federation Services), en août 2018 : on oubliait de vérifier l’identité de l’émetteur du second facteur¹² …

Toujours fiable ?

Ca dépend !

• Microsoft urges users to stop using phone-based multi-factor authentication

Références

1. ↑ (en) Seals, « Microsoft Flaw Allows Full Multi-Factor Authentication Bypass » sur Threatpost, 14/08/2018 (consulté le 12/02/2019)
2. ↑ (en) Andrew Lee, « Multi-Factor Mixup: Who Were You Again? » sur okta.com, 14/08/2018 (consulté le 12/02/2019)